[論文レビュー] Adaptive Generation of Unrestricted Adversarial Inputs

Isaac Dunn, Hadrien Pouget+2 more|arXiv (Cornell University)|May 7, 2019

Adversarial Robustness in Machine Learning参考文献 47被引用数 10

ひとこと要約

この論文では、事前学習済みのGANを敵対的微調整することで、現実的でありながら誤分類される入力を生成する手法を提案する。従来の手法とは異なり、防御モデルに段階的に適応し、1回のフォワードパスで80%の攻撃成功率を達成する。これは、既存の手法と比べて400～2,000倍の効率性を発揮する。また、高精細度とImageNetへのスケーラビリティを維持している。

ABSTRACT

Neural networks are vulnerable to adversarially-constructed perturbations of their inputs. Most research so far has considered perturbations of a fixed magnitude under some $l_p$ norm. Although studying these attacks is valuable, there has been increasing interest in the construction of (and robustness to) unrestricted attacks, which are not constrained to a small and rather artificial subset of all possible adversarial inputs. We introduce a novel algorithm for generating such unrestricted adversarial inputs which, unlike prior work, is adaptive: it is able to tune its attacks to the classifier being targeted. It also offers a 400-2,000x speedup over the existing state of the art. We demonstrate our approach by generating unrestricted adversarial inputs that fool classifiers robust to perturbation-based attacks. We also show that, by virtue of being adaptive and unrestricted, our attack is able to defeat adversarial training against it.

研究の動機と目的

• 現代の防御に耐える、現実的で制限なしの敵対的例を生成する課題に対処すること。
• 敵対的に訓練された分類器に対して失敗する既存のGANベースの敵対的攻撃手法の限界を克服すること。
• 1つの敵対的例あたりに必要なフォワード/バックワードパスの回数を削減することで、効率性を向上させること。
• 補助分類器を必要とせず、事前学習済みのGANを用いて、MNISTのような大規模データセットに対しても敵対的攻撃生成をスケーリングすること。
• 多様な防御機構下でも、画像の現実性を保ちながら、誤分類率を最大化すること。

提案手法

• 事前学習済みの生成器を敵対的微調整し、識別器の基準で現実的であると評価され、かつターゲット分類器によって誤分類される画像を生成する。
• 現実性のための敵対的損失と誤分類のための交差エントロピー損失を組み合わせた損失関数を用い、エンドツーエンドの学習を可能にする。
• 推論中に段階的に生成器を適応させ、特に敵対的訓練を施された分類器の変化に応じて反応する。
• 生成器の潜在空間を活用し、実データ分布からの逸脱を最小限に抑えつつ、誤分類を最大化する入力をサンプリングする。
• BigGANのような事前学習済みのGANを用いて、MNISTやImageNetを含む多様なデータセットに適用し、補助分類器を必要としない。
• 微調整後、1回のフォワードパスで敵対的例を生成することで、効率性を確保する。これは、従来の手法が100～500イテレーションを要するのとは対照的である。

実験結果

リサーチクエスチョン

• RQ1 敵対的微調整により、現実的でありながら一貫して誤分類される制限なしの敵対的例をGANで生成できるか？
• RQ2 本手法は、敵対的に訓練された分類器に対して、従来のGANベースの攻撃と比較してどの程度優れているか？
• RQ3 本手法は、推論速度と計算コストの観点で、どの程度の効率的向上が見込めるか？
• RQ4 補助分類器を必要とせず、高次元のデータセット（例：ImageNet）へスケーリング可能か？
• RQ5 多様な防御機構下でも、どの程度の現実性を維持しながら、高い攻撃成功率を達成できるか？

主な発見

• 本手法は、ターゲット攻撃例において80%の攻撃成功率を達成した。これは、最先端手法（88.8%）と同等の性能を示したが、はるかに高い効率性を発揮した。
• 敵対的微調整後、生成された敵対的画像の80%が、意図した正しいラベルに誤分類された。微調整なしでは58%にとどまった。
• 本手法は高い現実性を維持している。人間評価では、生成画像の24%が実画像よりも現実的であると選ばれた（従来手法は21.8%）。完全に現実的な画像の50%のベンチマークに近づいた。
• 本手法は、従来の手法と比べて400～2,000倍の効率性を発揮し、微調整後は1回のフォワードパスで敵対的例を生成できる。
• 敵対的に訓練された分類器に対しても、本手法は高い攻撃効果を維持している。一方、従来の手法はこのような防御下では失敗するのに対し、本手法はそのような状況でも効果的である。
• 本手法はImageNetへもスケーリング可能であり、従来の研究で使われたデータセットよりも16倍大きなデータセットで成功裏に攻撃生成を実現した。また、補助分類器を必要とせず、BigGANを含む任意の事前学習済みGANと組み合わせて使用可能である。